创建并保护 API 密钥
创建权限范围最小化的正式或沙盒凭据，在适用时设置 IP 限制，并安全轮换或撤销密钥。
- 选择上下文选择个人或组织工作区。
- 设置权限为密钥命名，并仅选择所需 scope。
- 限制来源可选填有效的调用方 IP 地址或网段。
- 妥善保存将显示的一次性密钥保存到受保护的密钥管理器。
- 维护访问通过轮换替换密钥；撤销不再使用的凭据。
Scope 与角色
API Keys 会列出受支持的 scope 说明，包括账户读取、AI 推理与训练、AI 托管任务、模型转换任务、区块链服务和支持工单权限。在组织中，所有者和管理员可以管理密钥；成员只能查看，不能管理。请在凭据所属的上下文中操作，因为可见性和权限均按上下文限定。
- 打开 API Keys 前先选择目标组织。
- 查看 scope 说明，并仅选择必需操作。
- 无法管理时，请联系所有者或管理员。
创建正式密钥
标准密钥名称长度须为 2–120 个字符，至少选择一个列出的 scope，并可选设定 IP 允许列表。每行填写一个有效 IP 地址或 CIDR 网段，且不得超过页面显示的数量限制。列表留空表示允许任意来源 IP。创建后完整明文只显示一次；系统仅保存哈希，之后无法找回。
- 使用能标识应用或环境的名称。
- 只选择最低必要权限和所需的固定来源地址。
- 将显示的值直接保存到获准使用的密钥存储中。
沙盒推理密钥
仪表板可以创建仅限 AI 推理使用的沙盒密钥，其每月请求额度以页面显示为准。每个账户或组织上下文仅允许一个有效沙盒密钥。如果已经存在，请继续使用，或先撤销再创建替代项。沙盒和正式凭据必须分开保存；不要将沙盒额度视为正式服务承诺。
- 检查当前上下文中是否已有有效沙盒密钥。
- 创建用于推理测试的密钥，并单独保存。
- 监控额度，不再需要时撤销密钥。
保护密钥
仅在创建或轮换时显示密钥的情况下复制完整值。请将其保存在加密的密钥管理器中，并将访问权限限制给使用该密钥的服务。切勿将密钥放入源代码、浏览器代码、日志、截图、工单或聊天中。如果错过一次性显示或找不到密钥，请轮换；支持人员无法找回明文。
- 将显示的值直接转存到受保护的存储中。
- 根据文档配置使用方。
- 怀疑密钥泄露或丢失时立即轮换。
轮换或撤销
轮换会撤销旧凭据，并创建名称、级别、scope 和允许列表相同的替代密钥。新值只显示一次；旧密钥会立即失效，请及时更新依赖服务。撤销则会停用所选密钥，不会创建替代项。执行任一操作前，请确认所选密钥和上下文正确。
- 日常轮换前，确认所有使用该密钥的服务。
- 保存新值并更新依赖服务。
- 撤销已退役的密钥，并确认仪表板状态。
排查请求被拒绝
密钥格式错误或已撤销、用户已停用、来源 IP 不在允许列表中，或请求所需 scope 未授予时，请求都可能被拒绝。沙盒请求也可能超出每月额度。请检查上下文、已部署的密钥版本、调用方出口地址和所需 scope。寻求帮助时切勿提供密钥本身。
- 确认密钥有效，并包含该操作所需的 scope。
- 核对实际来源 IP 和沙盒额度。
- 密钥错误或可能泄露时进行轮换；仅提供脱敏后的参考信息。
常见问题
之后还能找回密钥吗？
不能。请轮换以生成新的替代密钥。
应该授予哪些 scope？
只授予集成所需且页面列出的 scope。
成员可以创建组织密钥吗？
不可以。组织密钥由所有者和管理员管理。
轮换后旧密钥仍有效吗？
无效。轮换会撤销旧密钥并创建替代密钥。
调用方 IP 发生变化怎么办？
请由获授权的密钥管理员更新允许列表。
可以创建两个沙盒密钥吗？
每个上下文仅允许一个有效沙盒密钥。